docs: review security documentation in all seven translations

web/messages/sv/docs/security/fail2ban.json

@@ -0,0 +1,152 @@
+{
+  "meta": {
+    "title": "Fail2Ban | ProxMenux-dokumentation",
+    "description": "Installera Fail2Ban med tre jails inställd för Proxmox (SSH aggressiv, Proxmox UI 8006, ProxMenux Monitor 8008). Inkluderar journald MaxLevelStore fix, anpassade loggtjänster för tillförlitlighet, automatiskt upptäckta nftables/iptables backend och SSH MaxAuthTries härdning.",
+    "ogTitle": "Fail2Ban | ProxMenux-dokumentation",
+    "ogDescription": "Skydd mot lösenordsattacker för SSH och Proxmox webbgränssnitt, med Proxmox-specifika korrigeringar av journald och backend."
+  },
+  "header": {
+    "title": "Fail2Ban",
+    "description": "Installerar Fail2Ban för Proxmox: tre jails (aggressivt SSH, Proxmox-gränssnitt på 8006, ProxMenux Monitor på 8008 och omvänd proxy), journald-korrigering för att spara SSH-händelser, två tjänster som kopierar journalen till filer för att kringgå ett känt systemd-backendproblem, automatisk brandväggsbackend och SSH-härdning med MaxAuthTries.",
+    "section": "Säkerhet"
+  },
+  "intro": {
+    "title": "Vad detta gör",
+    "body": "Installerar Fail2Ban från Debians paketförråd och skapar en Proxmox-konfiguration som direkt skyddar SSH, Proxmox webbgränssnitt och ProxMenux Monitor. En befintlig installation upptäcks och ger i stället en hanteringsmeny för ominstallation eller borttagning."
+  },
+  "firstLaunch": {
+    "heading": "Första lanseringen dialog",
+    "body": "Om Fail2Ban saknas visar skriptet en bekräftelse med vad som ska installeras och konfigureras. Avbryt avslutar utan ändringar; bekräftelse startar installationen.",
+    "imageAlt": "Installationsbekräftelse för Fail2Ban med tre jails, journald-korrigering och SSH-härdning"
+  },
+  "jails": {
+    "heading": "De tre jails",
+    "headerJail": "Jail",
+    "headerProtects": "Skyddar",
+    "headerRetries": "Försök / Tidsfönster",
+    "headerBan": "Blockeringstid",
+    "rows": [
+      {
+        "jail": "[sshd]",
+        "protects": "SSH (aggressivt läge — omfattar ddos, mode, normal)",
+        "retries": "2 / 60 min",
+        "ban": "9 timmar"
+      },
+      {
+        "jail": "[proxmox]",
+        "protects": "Proxmox webb UI (port 8006)",
+        "retries": "3 / 10 min",
+        "ban": "1 timme"
+      },
+      {
+        "jail": "[proxmenux]",
+        "protects": "ProxMenux Monitor (port 8008 + http / https omvänd proxy)",
+        "retries": "3 / 10 min",
+        "ban": "1 timme"
+      }
+    ],
+    "outro": "Globala standardinställningar från <code>jail.local</code>: <code>ignoreip = 127.0.0.1/8 ::1</code>, <code>ignoreself = true</code>,<code> bantime = 86400</code> (24h reserv för jails som inte åsidosätter det), <code>maxretry = 2</code>, <code>findtime = 1800</code>."
+  },
+  "journald": {
+    "heading": "Varför journald-korrigeringen är viktig",
+    "intro": "Proxmox levererar <code>/etc/systemd/journald.conf</code> med <codeNw>MaxLevelStore=warning</codeNw>. journald kastar meddelanden på nivåer <em>under</em> warning innan de lagras. SSH och PAM rapporterar autentiseringsfel på nivåerna <em>info</em> / <em>notice</em>, så:",
+    "diagram": {
+      "sshLabel": "SSH / PAM",
+      "sshDetail": "autentiseringsfel\n(nivå info / notice)",
+      "journaldLabel": "journald",
+      "journaldDetail": "MaxLevelStore=warning\n→ händelsen kastas utan varning",
+      "fail2banLabel": "Fail2Ban",
+      "fail2banDetail": "ser ingenting\naldrig förbjuder något",
+      "arrowLabel": "Standard Proxmox"
+    },
+    "afterDiagram": "Installatören upptäcker detta och skriver en drop-in på <codeXs>/etc/systemd/journald.conf.d/proxmenux-loglevel.conf</codeXs> höja både <code>MaxLevelStore</code> och <code>MaxLevelSyslog</code> till <code>info</code>:",
+    "code": "[Journal]\nMaxLevelStore=info\nMaxLevelSyslog=info",
+    "outro": "Startar sedan om <code>systemd-journald</code>. Vid avinstallation tas tillägget bort och Proxmox ursprungliga standardvärde återställs."
+  },
+  "loggers": {
+    "heading": "Varför två anpassade loggertjänster",
+    "intro1": "Fail2Ban kan läsa systemd-journalen direkt (<code>backend = systemd</code>), men på Proxmox har denna backend kända problem med arbetsprocesser i <code>pvedaemon</code>: autentiseringshändelser syns i journalen men upptäcks inte alltid. Även <code>sshd</code> berörs ibland.",
+    "intro2": "ProxMenux skapar två små systemd-tjänster som följer berörda enheter med <code>journalctl -f</code> och lägger till varje rad i en fil. Fail2Ban läser filerna med tillförlitliga <code>backend = auto</code> (filläge):",
+    "headerService": "Tjänst",
+    "headerSource": "Källenhet",
+    "headerOutput": "Utdatafil",
+    "rows": [
+      {
+        "service": "proxmox-auth-logger.service",
+        "source": "pvedaemon.service",
+        "output": "/var/log/proxmox-auth.log"
+      },
+      {
+        "service": "ssh-auth-logger.service",
+        "source": "ssh.service",
+        "output": "/var/log/ssh-auth.log"
+      }
+    ],
+    "outro": "Båda tjänsterna är deklarerade <code>PartOf=fail2ban.service</code> så de startar om med Fail2Ban och slutar med det. Läget 640 som ägs av <code>root:adm</code> på loggfilerna. Den tredje loggen som används av <code>[proxmenux]</code> jail (<code>/var/log/proxmenux-auth.log</code>) skrivs direkt av appen ProxMenux Monitor Flask – ingen loggertjänst behövs för den."
+  },
+  "backend": {
+    "heading": "Automatisk identifiering av brandväggsbackend",
+    "intro": "Installationsproberar värden: om <code>nft list ruleset</code> fungerar, väljer den <code>nftables</code> som förbudsåtgärden. Annars faller det tillbaka till <code>iptables-multiport</code> / <code>iptables-allports</code>. Valet är skrivet i <code>jail.local</code>:",
+    "code": "# nftables host\nbanaction = nftables\nbanaction_allports = nftables[type=allports]\n\n# iptables host (fallback)\nbanaction = iptables-multiport\nbanaction_allports = iptables-allports"
+  },
+  "hardening": {
+    "heading": "SSH-härdning: MaxAuthTries",
+    "intro": "Lynis-kontrollen <strong>SSH-7408</strong> rekommenderar <code>MaxAuthTries 3</code> i <code>sshd_config</code>. SSH-jailen använder <code>maxretry = 2</code> för blockering efter upprepade fel; MaxAuthTries begränsar försök inom samma anslutning. SSH-inställningen ger ett extra skyddslager även när Fail2Ban stoppats för underhåll.",
+    "installerIntro": "Installationsprogrammet:",
+    "items": [
+      "Läser det aktuella <code>MaxAuthTries</code>-värdet (eller standarder till 6 om det saknas).",
+      "Spara det till <code>/usr/local/share/proxmenux/sshd_maxauthtries_backup</code>.",
+      "Redigerar <code>sshd_config</code> direkt: ersätter befintlig rad, avkommenterar en kommenterad rad eller lägger till en ny.",
+      "Laddar om <code>sshd</code> utan omstart så att befintliga sessioner behålls."
+    ],
+    "outro": "Vid avinstallation återställs det sparade ursprungliga värdet och <code>sshd</code> laddas om igen."
+  },
+  "manage": {
+    "heading": "Hantera en befintlig installation",
+    "intro": "Om Fail2Ban redan är installerad när du öppnar menyn upptäcker manuset den och visar en meny istället för att köra om installationsprogrammet:",
+    "headerAction": "Handling",
+    "headerWhat": "Vad det gör",
+    "rows": [
+      {
+        "action": "Reinstallera",
+        "what": "Kör hela installationen igen och skriver om alla jails med aktuella ProxMenux-standardvärden. Använd när en uppdatering ändrar rekommendationerna."
+      },
+      {
+        "action": "Ta bort",
+        "what": "Stoppar fail2ban och de två loggertjänsterna, rensar apt-paketet, tar bort alla jail / filtrera filer, tar bort journald drop-in (återställer Proxmox standard) och återställer originalet SSH MaxAuthTries."
+      }
+    ]
+  },
+  "verify": {
+    "heading": "Verifiera att det fungerar",
+    "intro": "Efter installation, användbara kommandon från värden:",
+    "code": "# Service status and version\nsystemctl status fail2ban\nfail2ban-client --version\n\n# All active jails\nfail2ban-client status\n\n# Detail on one jail\nfail2ban-client status sshd\nfail2ban-client status proxmox\nfail2ban-client status proxmenux\n\n# Currently banned IPs in a jail\nfail2ban-client status sshd | grep \"Banned IP\"\n\n# Manually unban an IP (use this if you ban yourself)\nfail2ban-client unban 192.0.2.10\n\n# Tail the auth logs Fail2Ban watches\ntail -f /var/log/ssh-auth.log\ntail -f /var/log/proxmox-auth.log\ntail -f /var/log/fail2ban.log"
+  },
+  "troubleshoot": {
+    "heading": "Felsökning",
+    "neverBansTitle": "Fail2Ban körs men förbjuder aldrig något",
+    "neverBansBody": "Kontrollera att <code>tail -f /var/log/ssh-auth.log</code> får en post efter ett SSH-försök med fel lösenord från en annan dator. Om filen är tom granskar du <code>systemctl status ssh-auth-logger.service</code>. Om loggern körs visar du aktuella händelser med <code>journalctl -u ssh.service -n 50 --no-pager -p info</code> och kontrollerar att journald-tillägget tillåter nivån <em>info</em>.",
+    "monitorEmptyTitle": "ProxMenux Monitor jail har inga poster även efter misslyckade inloggningar",
+    "monitorEmptyBody": "Jailen <code>[proxmenux]</code> läser <code>/var/log/proxmenux-auth.log</code>, som skrivs av Flask-appen ProxMenux Monitor, inte av en journald-logger. Utan Monitor förblir filen tom och jailen utlöses inte. Det är väntat och konfigurationen är ofarlig. Om Monitor körs men loggen är tom kontrollerar du loggningskonfigurationen i Flask.",
+    "selfBanTitle": "Jag har blockerat min egen åtkomst",
+    "selfBanIntro": "Från en konsol / IPMI / iKVM (eller annan vitlistad IP):",
+    "selfBanCode": "fail2ban-client unban '<'YOUR_IP'>'\n\n# To prevent it next time, edit /etc/fail2ban/jail.local and add your IP:\nignoreip = 127.0.0.1/8 ::1 192.168.1.0/24 203.0.113.42\n\n# Then reload\nfail2ban-client reload",
+    "aptFailTitle": "apt-get misslyckas: ''Unable to locate package fail2ban''",
+    "aptFailBody": "Värden saknas Debian repos (gemensamt på barebones Proxmox installationer). Installatören upptäcker detta och skriver <code>/etc/apt/sources.list.d/debian.sources</code> med rätt kodnamn (<code>bookworm</code> / <code>trixie</code>) innan du går tillbaka. Om det fortfarande misslyckas, kontrollera <code>/etc/os-release</code> för <code>VERSION_CODENAME</code> och bekräfta att repo URL är tillgänglig.",
+    "lockoutTitle": "SSH låser mig efter installation",
+    "lockoutBody": "Installationsprogrammet sätter <code>MaxAuthTries=3</code>. Om din lösenordshanterare / agent har flera nycklar kan du överstiga det på ett enda anslutningsförsök. Begränsa nycklarna som erbjuds: <code>ssh -o IdentitiesOnly=yes -i ~/.ssh/specific_key user@host</code>. Eller tillfälligt höja <code>MaxAuthTries</code> i <code>sshd_config</code> medan du debug."
+  },
+  "files": {
+    "heading": "Filer skrivna",
+    "code": "/etc/fail2ban/jail.local                              # global defaults + [sshd]\n/etc/fail2ban/jail.d/proxmox.conf                     # [proxmox]\n/etc/fail2ban/jail.d/proxmenux.conf                   # [proxmenux]\n/etc/fail2ban/filter.d/proxmox.conf                   # auth-failure regex for pvedaemon\n/etc/fail2ban/filter.d/proxmenux.conf                 # auth-failure regex for Monitor\n/etc/systemd/system/proxmox-auth-logger.service       # journal → file (pvedaemon)\n/etc/systemd/system/ssh-auth-logger.service           # journal → file (sshd)\n/etc/systemd/journald.conf.d/proxmenux-loglevel.conf  # MaxLevelStore=info\n/etc/ssh/sshd_config                                  # MaxAuthTries=3 (in-place edit)\n/var/log/proxmox-auth.log                             # written by logger service\n/var/log/ssh-auth.log                                 # written by logger service\n/var/log/proxmenux-auth.log                           # written by Monitor Flask app\n/usr/local/share/proxmenux/sshd_maxauthtries_backup   # for restore on uninstall"
+  },
+  "related": {
+    "heading": "Relaterad",
+    "monitorLabel": "ProxMenux Monitor → Säkerhetsflik",
+    "monitorTail": " — installation via panelen, aktuell jail-status, blockerade IP-adresser och inställning av försök och blockeringstid per jail i webbläsaren.",
+    "lynisLabel": "Lynis",
+    "lynisTail": " — kör en säkerhetsgranskning före och efter för att bekräfta att kontrollen SSH-7408 uppfylls.",
+    "securityLabel": "Säkerhetsöversikt",
+    "securityTail": " - tillbaka till avsnittsöversikten."
+  }
+}

web/messages/sv/docs/security/index.json

@@ -0,0 +1,70 @@
+{
+  "meta": {
+    "title": "Proxmox-säkerhet — Fail2Ban och härdningsgranskning med Lynis | ProxMenux",
+    "description": "Två säkerhetsverktyg för Proxmox VE: Fail2Ban (intrångsskydd för SSH, Proxmox webbgränssnitt och ProxMenux Monitor) och Lynis (säkerhets- och härdningsgranskning installerad från det officiella GitHub-arkivet).",
+    "ogTitle": "Proxmox-säkerhet — Fail2Ban och härdningsgranskning med Lynis",
+    "ogDescription": "Fail2Ban och Lynis för Proxmox VE: intrångsskydd och härdningsgranskning, installerade och hanterade av ProxMenux.",
+    "twitterTitle": "Proxmox säkerhet | ProxMenux",
+    "twitterDescription": "Fail2Ban och Lynis för Proxmox VE: intrångsskydd och härdningsgranskning."
+  },
+  "header": {
+    "title": "Säkerhet",
+    "description": "Två kompletterande verktyg för Proxmox VE: aktivt skydd (Fail2Ban blockerar IP-adresser som angriper SSH eller webbgränssnitt) och lokal granskning (Lynis söker härdningsbrister och ger 0–100 poäng). Varje verktyg har en egen installations- och hanteringsmeny som upptäcker befintliga installationer före varje åtgärd.",
+    "section": "Säkerhet"
+  },
+  "intro": {
+    "title": "Aktivt skydd och lokal granskning",
+    "body": "De besvarar olika frågor. <strong>Fail2Ban</strong> svarar på <em>”Angrips vi just nu?”</em> genom att bevaka autentiseringsloggar och blockera angripande IP-adresser. <strong>Lynis</strong> svarar på <em>”Hur väl härdad är värden?”</em> med en engångsgranskning och konkreta rekommendationer. Använd båda: Lynis visar vad som bör förbättras och Fail2Ban hanterar pågående angrepp."
+  },
+  "opening": {
+    "heading": "Öppna menyn",
+    "body": "Välj <strong>Säkerhet</strong> i ProxMenux huvudmeny. Du får se följande:",
+    "imageAlt": "Säkerhetsmeny med Fail2Ban och Lynis alternativ"
+  },
+  "pick": {
+    "heading": "Välj ditt verktyg",
+    "body": "Verktygen är oberoende: installera ett, båda eller inget. Varje kort nedan leder till avsnittet som förklarar verktyget i detalj."
+  },
+  "cards": {
+    "fail2ban": {
+      "title": "Fail2Ban",
+      "body": "Aktivt intrångsskydd. Bevakar autentiseringsloggar för SSH och webbgränssnitt och blockerar IP-adresser efter upprepade fel.",
+      "bullets": [
+        "Tre jails: SSH, Proxmox UI (8006), ProxMenux Monitor (8008)",
+        "Korrigerar Proxmox standardinställningar för journald som blockerar autentiseringsloggar",
+        "Upptäcker nftables / iptables automatiskt",
+        "SSH härdning: MaxAuthTries=3 (Lynis rekommendation)"
+      ]
+    },
+    "lynis": {
+      "title": "Lynis",
+      "body": "Lokal säkerhetsgranskare. Skannar värden och visar härdningspoäng samt konkreta åtgärdsförslag.",
+      "bullets": [
+        "Installerat från CISOfys officiella GitHub-arkiv (senaste versionen)",
+        "Härdningspoäng 0–100 och lista över varningar och förslag",
+        "Granskning och uppdatering via menyn",
+        "Utformat för enbart läsning: ändrar aldrig systemet"
+      ]
+    }
+  },
+  "workflowTip": {
+    "title": "Arbetsflöde som använder båda",
+    "body": "Kör först Lynis för att se startpoäng och viktigaste rekommendationer. Genomför önskade åtgärder. Installera sedan Fail2Ban: det inför automatiskt SSH-skydd mot lösenordsattacker och anpassar <code>MaxAuthTries</code> i <code>sshd_config</code> till kontrollen SSH-7408. Kör Lynis igen för att bekräfta förbättringen."
+  },
+  "fail2banSection": {
+    "heading": "Fail2Ban",
+    "body": "ProxMenux installerar Fail2Ban med en konfiguration för Proxmox. Utöver standardjailen för SSH skyddas Proxmox webbgränssnitt och ProxMenux Monitor. Två specifika problem hanteras: en standardinställning i journald som släpper autentiseringshändelser och ett problem i systemd-backend som hindrar tillförlitlig läsning av vissa journalkällor. Detaljsidan beskriver installationen, de tre jails, journald-korrigeringen, SSH-härdningen och felsökningen.",
+    "optionTitle": "Fail2Ban – installera och hantera",
+    "optionDescription": "Tre förkonfigurerade jails (aggressivt sshd, Proxmox-gränssnitt på 8006, ProxMenux Monitor på 8008 och omvänd proxy), automatisk nftables/iptables-detektering, journald-korrigering och SSH-härdning med MaxAuthTries."
+  },
+  "lynisSection": {
+    "heading": "Lynis",
+    "body": "ProxMenux klonar Lynis från <code>github.com/CISOfy/lynis</code> till <code>/opt/lynis</code> och gör det tillgängligt som <code>/usr/local/bin/lynis</code>. Debianpaketet undviks avsiktligt eftersom det ligger flera huvudversioner efter originalprojektet. Detaljsidan beskriver installation, granskning, uppdatering, avinstallation, rapportläsning och åtgärder utifrån resultaten.",
+    "optionTitle": "Lynis — installera, granska och hantera",
+    "optionDescription": "Installerar den senaste Lynis från den officiella CISOfy GitHub repo (inte det äldre Debian-paketet), kör systemrevisioner med härdningspoäng och uppdateringar via git pull."
+  },
+  "componentStatus": {
+    "heading": "Komponentstatus",
+    "body": "Båda installatörerna registrerar sitt tillstånd i <code>/usr/local/share/proxmenux/components_status.json</code> under kategorin <code>security</code>. ProxMenux använder den här filen för att bestämma om du vill visa installationen eller menyn för hantering påföljande körningar, och samma data matar instrumentpanelerna i ProxMenux Monitor när de är närvarande."
+  }
+}

web/messages/sv/docs/security/lynis.json

@@ -0,0 +1,170 @@
+{
+  "meta": {
+    "title": "Lynis | ProxMenux-dokumentation",
+    "description": "Installera senaste Lynis från CISOfys officiella GitHub-arkiv, kör en säkerhetsgranskning med härdningspoäng 0–100 och uppdatera med git pull. Utformat för enbart läsning, utan systemändringar.",
+    "ogTitle": "Lynis | ProxMenux-dokumentation",
+    "ogDescription": "Installera och kör säkerhetsgranskaren Lynis på Proxmox VE. Installation från det officiella GitHub-arkivet, granskning och uppdatering."
+  },
+  "header": {
+    "title": "Lynis",
+    "description": "Klonar senaste Lynis från CISOfys officiella GitHub-arkiv, gör det tillgängligt som /usr/local/bin/lynis och erbjuder granskning, uppdatering, ominstallation och avinstallation via menyn. Granskaren läser bara och rapporterar utan att ändra systemet.",
+    "section": "Säkerhet"
+  },
+  "intro": {
+    "title": "Vad detta gör",
+    "body": "Installerar Lynis, CISOfys säkerhetsgranskare med öppen källkod, från dess GitHub-arkiv till <code>/opt/lynis</code> och skapar ett startskript i <code>/usr/local/bin/lynis</code> så att det nås via <code>PATH</code>. En befintlig installation ger i stället en meny för granskning, uppdatering, ominstallation eller borttagning."
+  },
+  "manageMenu": {
+    "heading": "Hanteringsmeny (efter installation)",
+    "intro": "Efter installationen öppnar varje nytt anrop hanteringsmenyn. Där kan du starta en granskning, uppdatera med git pull, installera om eller avinstallera.",
+    "imageAlt": "Lynis management meny med revision, uppdatering, ominstallera och ta bort alternativ"
+  },
+  "whyUpstream": {
+    "heading": "Varför det officiella GitHub-arkivet i stället för apt",
+    "intro": "Debian erbjuder Lynis via apt, men paketet ligger vanligtvis flera huvudversioner efter originalprojektet. Nya kontroller, åtgärder för nya angreppssätt och förbättrade rekommendationer kommer först till GitHub. Lynis är ett fristående skalskript utan kompilering eller installationsberoenden utöver <code>git</code>; kloning av arkivet är därför metoden CISOfy rekommenderar.",
+    "headerSource": "Källa",
+    "headerPath": "Install path",
+    "headerUpdate": "Uppdateringsmetod",
+    "headerFresh": "Versionens aktualitet",
+    "rows": [
+      {
+        "sourceRich": "<strong>ProxMenux (detta manus) </strong>",
+        "path": "/opt/lynis/",
+        "update": "git pull (via menyn)",
+        "fresh": "Senaste versionen av originalprojektet"
+      },
+      {
+        "sourceRich": "<strong>Debian apt</strong>",
+        "path": "/usr/bin/lynis",
+        "update": "apt upgrade",
+        "fresh": "Ofta månader / år bakom"
+      }
+    ]
+  },
+  "install": {
+    "heading": "Hur installationen fungerar",
+    "node1Label": "github.com/CISOfy/lynis",
+    "node1Detail": "git clone\n(installera git först om det saknas)",
+    "node2Label": "/opt/lynis/",
+    "node2Detail": "hela arkivet\ninklusive skriptet ./lynis",
+    "node3Label": "/usr/local/bin/lynis",
+    "node3Detail": "wrapper:\ncd /opt/lynis && ./lynis $@",
+    "outro": "Wrapper är obligatorisk - Lynis insisterar på att köras från sin egen katalog eftersom det laddar relativa vägar för plugins och profildata. Wrapper döljer den detaljen så <code>lynis audit system</code> fungerar bara från var som helst."
+  },
+  "detection": {
+    "heading": "Detektering vägar",
+    "intro": "Innan du visar menyn kontrollerar manuset tre platser för att avgöra om Lynis redan är närvarande:",
+    "items": [
+      "<code>/usr/local/bin/lynis</code> Wrapper installerad av ProxMenux",
+      "<code>/opt/lynis/lynis</code> - direkt väg (om wrapperen togs bort)",
+      "<code>/usr/bin/lynis</code> apt-installerad version, om användaren installerade den på det sättet tidigare"
+    ],
+    "outro": "Om någon av sökvägarna hittas öppnas hanteringsmenyn. Skriptet avinstallerar <strong>inte</strong> Lynis som installerats via apt, bara den egna installationen i <code>/opt/lynis</code> och dess startskript."
+  },
+  "audit": {
+    "heading": "Kör en revision",
+    "intro": "Välj <strong>Kör säkerhetsgranskning nu</strong> i hanteringsmenyn. Det motsvarar att köra:",
+    "code": "lynis audit system --no-colors",
+    "outro": "Granskningen tar 30 sekunder till några minuter beroende på värdens storlek. Utdata visas direkt i terminalen utan väntanimation. Lynis grupperar kontroller efter kategori och märker varje test med <ok>[ OK ]</ok>, <warn>[ WARNING ]</warn> eller <sugg>[ SUGGESTION ]</sugg>. Slutets sammanfattning visar de viktigaste siffrorna:",
+    "summary": "================================================================================\n\n  Detaljer för Lynis säkerhetsgranskning:\n\n  Härdningsindex : 76 [############        ]\n  Utförda tester : 247\n  Aktiverade insticksmoduler : 0\n\n  Komponenter:\n  - Brandvägg [V]\n  - Skanner för skadlig kod [X]\n\n  Lynis-moduler:\n  - Efterlevnadsstatus [?]\n  - Säkerhetsgranskning [V]\n  - Sårbarhetsgranskning [V]\n\n================================================================================"
+  },
+  "report": {
+    "heading": "Läsa rapporten",
+    "intro": "De två viktiga avsnitten är <strong>Warnings</strong> (saker du bör fixa snart) och <strong>Suggestions</strong> (rekommendationer för att förbättra härdning). Varje objekt bär ett kontroll-ID som <code>SSH-7408</code> - användbart när du söker Lynis-dokumenten för motiveringen och fixen.",
+    "headerMarker": "Markör",
+    "headerMeaning": "Betydelse",
+    "headerAction": "Handling",
+    "rows": [
+      {
+        "markerRich": "<strong>OK</strong>",
+        "meaning": "Test passerade",
+        "action": "Ingenting"
+      },
+      {
+        "markerRich": "<strong>WARNING</strong>",
+        "meaning": "Verklig fråga, fix rekommenderad",
+        "action": "Läs kontrollbeskrivningen, planera en fix"
+      },
+      {
+        "markerRich": "<strong>SUGGESTION</strong>",
+        "meaning": "Hardening förbättring tillgänglig",
+        "action": "Tillämpa om det passar din hotmodell"
+      }
+    ],
+    "outro": "Fullständig rapport och maskinläsbara data skrivs till <code>/var/log/lynis.log</code> och <code>/var/log/lynis-report.dat</code> av Lynis själv."
+  },
+  "pairFail2ban": {
+    "title": "Kombinera med Fail2Ban",
+    "body": "SSH-7408 (MaxAuthTries) är en av de vanligaste varningarna. Installera <link>Fail2Ban</link> från ProxMenux rensar det automatiskt eftersom installationsprogrammet sätter <code>MaxAuthTries=3</code> som en del av dess SSH härdning steg. Kör Lynis igen efteråt för att bekräfta varningen är borta."
+  },
+  "update": {
+    "heading": "Uppdatering Lynis",
+    "body": "I menyn kör <strong>Uppdatera Lynis till senaste versionen</strong> kommandot <code>git pull --quiet</code> i <code>/opt/lynis</code>. Om katalogen finns men inte är en Git-arbetskopia, exempelvis efter manuell filkopiering, gör skriptet en fullständig ominstallation."
+  },
+  "reinstall": {
+    "heading": "Installera om / avinstallera",
+    "headerAction": "Handling",
+    "headerWhat": "Vad det gör",
+    "rows": [
+      {
+        "actionRich": "<strong>Installera om</strong>",
+        "whatRich": "Tar bort <code>/opt/lynis</code>, klonar igen från GitHub och återskapar startskriptet. Använd om den lokala arbetskopian är skadad."
+      },
+      {
+        "actionRich": "<strong>Ta bort</strong>",
+        "whatRich": "Ta bort <code>/opt/lynis</code> och <code>/usr/local/bin/lynis</code>. Loggar på <code>/var/log/lynis*</code> hålls (de är revisionshistorik). En apt-installerad Lynis på <code>/usr/bin/lynis</code> lämnas orörd."
+      }
+    ]
+  },
+  "cli": {
+    "heading": "Användbara CLI-alternativ",
+    "intro": "Efter installationen kan Lynis köras direkt från ett skal med extra alternativ som inte visas i menyn:",
+    "code": "lynis show version            # version + build date\nlynis show commands           # list every available command\nlynis show details TEST-ID    # explain a specific control\nlynis audit system --quick    # skip slow tests (e.g. malware scan)\nlynis audit system --pentest  # treat host as untrusted (more aggressive)\nlynis update info             # check if a newer Lynis is available\n\n# Filter the report log for just the warnings\ngrep \"Warning\" /var/log/lynis.log\n\n# Same, for suggestions only\ngrep \"Suggestion\" /var/log/lynis.log"
+  },
+  "troubleshoot": {
+    "heading": "Felsökning",
+    "cloneTitle": "git clone misslyckas under installationen",
+    "cloneBody": "Värden behöver nätverksåtkomst och DNS för att nå <code>github.com</code>. Från en konsol: <code>curl -sI https://github.com</code> och <code>git ls-remote https://github.com/CISOfy/lynis.git</code> kommer att avslöja det faktiska felet (DNS, TLS, proxy, repo URL). Om en proxy krävs, sätt <code>https_proxy</code> i miljön innan du kör menyn.",
+    "notFoundTitle": "lynis: kommandot som inte hittats efter installation",
+    "notFoundIntro": "Startskriptet <code>/usr/local/bin/lynis</code> skapades inte eller har tagits bort. Snabbaste lösningen är att installera om via menyn. Manuell lösning:",
+    "notFoundCode": "cat > /usr/local/bin/lynis <<'EOF'\n#!/bin/bash\ncd /opt/lynis && ./lynis \"$@\"\nEOF\nchmod +x /usr/local/bin/lynis",
+    "sshTitle": "Granskningen visar \"Warning: Test SSH-7408 — MaxAuthTries set incorrectly\"",
+    "sshIntro": "SSH daemon tillåter för många auth försök per anslutning. Antingen installera <link>Fail2Ban</link> från ProxMenux (som sätter <code>MaxAuthTries=3</code> automatiskt) eller redigera <code>/etc/ssh/sshd_config</code> för hand:",
+    "sshCode": "sed -i 's/^#?MaxAuthTries.*/MaxAuthTries 3/' /etc/ssh/sshd_config\nsystemctl reload sshd",
+    "scoreTitle": "Score gick ner efter en Proxmox uppgradering",
+    "scoreBody": "Kör <code>lynis update info</code> först - en Lynis-uppdatering kan ha lagt till nya kontroller som flaggar befintlig konfig. Uppdatera Lynis från menyn, re-audit och adressera de nya resultaten."
+  },
+  "files": {
+    "heading": "Filer skrivna",
+    "code": "/opt/lynis/                   # full Lynis git checkout\n/usr/local/bin/lynis          # wrapper script (cd + exec)\n/var/log/lynis.log            # human-readable audit log (Lynis itself)\n/var/log/lynis-report.dat     # machine-readable report (Lynis itself)"
+  },
+  "sample": {
+    "heading": "Provrapport",
+    "intro": "ProxMenux Monitor skapar en flersidig PDF för varje Lynis-körning via <link>fliken Säkerhet</link>. Första sidan sammanfattar härdningspoäng, systeminformation och säkerhetsläge. Följande sidor förklarar varje varning, listar förslag efter påverkan och visar paketinventeringen som användes vid granskningen.",
+    "imageAlt": "Första sidan av Lynis Security Audit Report PDF - verkställande sammanfattning med Hardening Index 71/100, systeminformationsblock och säkerhetsställningsöversikt med brandvägg, malware scanner och installerade paket räknas",
+    "captionPrefix": "Första sidan i en exempelrapport. Hela PDF-filen (",
+    "captionLink": "exempel",
+    "captionSuffix": ") fortsätter med detaljerade varningar, förslag och listan över installerade paket.",
+    "cli": "På CLI-sidan är samma data i <code>/var/log/lynis-report.dat</code> (maskinläsbar plattfil) och <code>/var/log/lynis.log</code> (den mänskliga läsbara körloggen). PDF genereras på begäran av ProxMenux Monitor - kör <code>lynis</code> från kommandoraden producerar inte en."
+  },
+  "related": {
+    "heading": "Relaterad",
+    "items": [
+      {
+        "href": "/docs/monitor/dashboard/security",
+        "label": "ProxMenux Monitor → Säkerhetsflik",
+        "tail": " - köra revisionen, bläddra i historiska rapporter och ladda ner PDF direkt från instrumentbrädan."
+      },
+      {
+        "href": "/docs/security/fail2ban",
+        "label": "Fail2Ban",
+        "tailRich": " - implementerar SSH brute-force skydd som Lynis rekommenderar."
+      },
+      {
+        "href": "/docs/security",
+        "label": "Säkerhetsöversikt",
+        "tail": " - tillbaka till avsnittsöversikten."
+      }
+    ]
+  }
+}

web/messages/sv/docs/security/ssl-letsencrypt.json

@@ -0,0 +1,169 @@
+{
+  "meta": {
+    "title": "HTTPS för ProxMenux Monitor — Proxmox-värdcertifikat eller anpassade sökvägar | ProxMenux",
+    "description": "Tillhandahåll ProxMenux Monitor via HTTPS med Proxmox-värdens automatiskt upptäckta certifikat, inklusive Let’s Encrypt installerat via Proxmox ACME, eller ett eget certifikat på valfri sökväg på disken.",
+    "ogTitle": "HTTPS för ProxMenux Monitor - Proxmox värd eller anpassat certifikat",
+    "ogDescription": "Aktivera HTTPS på port 8008 med Proxmox värdcertifikat eller någon anpassad .pem / .key par."
+  },
+  "header": {
+    "title": "HTTPS för ProxMenux Monitor",
+    "description": "Aktivera HTTPS för Monitor på port 8008 med det automatiskt upptäckta Proxmox-värdcertifikatet eller ett eget certifikat på disken. Proxmox-alternativet föredrar ACME-certifikatet om det finns och återanvänder Let’s Encrypt som Proxmox hanterar utan en extra förnyelseuppgift.",
+    "section": "Säkerhet"
+  },
+  "intro": {
+    "title": "Vad denna sida täcker",
+    "body": "Hur man byter Monitor från HTTP till HTTPS i Inställningarna → Säkerhetspanel, vad varje certifikatkälla faktiskt pekar på på disken, hur Proxmox-alternativet beter sig när värden har en Let's Encrypt-cert och hur man ställer in anpassade vägar om du hanterar certer utanför Proxmox."
+  },
+  "wheresetting": {
+    "heading": "Var inställningen finns",
+    "body": "Öppna Monitor och gå till <strong>Inställningar → Säkerhet → HTTPS / SSL</strong>. Panelen visar HTTP eller HTTPS och, om HTTPS inte aktiverats, de upptäckta certifikatkällorna.",
+    "imageAlt": "Inställningar → Säkerhet → HTTPS / SSL-panelen i Monitorn som visar HTTPS-off-tillståndet, det automatiska upptäckta Proxmox-certifikatet (ämne, emittent, utgång) och alternativet Använd anpassat certifikat",
+    "caption": "Panelen Inställningar → Säkerhet → HTTPS / SSL före aktivering. Monitor visar certifikatet som Proxmox använder och låter dig välja det med ett klick."
+  },
+  "twoways": {
+    "heading": "Två sätt att aktivera HTTPS",
+    "proxmox": {
+      "title": "Använd Proxmox-certifikat",
+      "summary": "Ett klick: Monitor återanvänder certifikatet som Proxmox VE presenterar på port 8006.",
+      "items": [
+        "Upptäcks automatiskt, ingen sökväg att skriva",
+        "Föredrar ACME-certifikatet om det finns, annars det självsignerade standardcertifikatet",
+        "Proxmox sköter förnyelsen; Monitor validerar och laddar certifikatet vid nästa nya TLS-anslutning"
+      ]
+    },
+    "custom": {
+      "title": "Använd anpassat certifikat",
+      "summaryRich": "Peka monitorn på ett <code>.pem</code> / <code>.key</code>-par var som helst på disken.",
+      "items": [
+        "Absoluta vägar (övervakningsprocessen måste kunna läsa båda)",
+        "Användbara när certerna kommer från <code>certbot</code>, <code>acme.sh</code> eller ett wildcard",
+        "Du ansvarar för förnyelsen: starta om Monitor när filerna ändras"
+      ]
+    }
+  },
+  "proxmoxCert": {
+    "heading": "Proxmox-certifikat - vad det faktiskt pekar på",
+    "intro": "Proxmox VE håller två certifikatpar i <code>/etc/pve/local/</code>:",
+    "table": {
+      "headers": {
+        "file": "Fil",
+        "origin": "Ursprung",
+        "when": "När monitorn använder den"
+      },
+      "rows": [
+        {
+          "fileRich": "<code>pveproxy-ssl.pem</code><br /><code>pveproxy-ssl.key</code>",
+          "originRich": "Anpassade certifikat som laddats upp via Proxmox UI - inklusive Let's Encrypt-certifikatet som utfärdats under <em>Datacenter → Node → Certifikat → ACME</em>.",
+          "when": "Föredras när båda filerna finns; Monitor använder certifikatet som Proxmox presenterar."
+        },
+        {
+          "fileRich": "<code>pve-ssl.pem</code><br /><code>pve-ssl.key</code>",
+          "originRich": "Självsignerat certifikat som genereras vid installationstid av Proxmox PKI.",
+          "whenRich": "Fallback när ingen <code>pveproxy-ssl.pem</code> finns."
+        }
+      ]
+    },
+    "callout": {
+      "title": "Samma prioritet som Proxmox själv",
+      "bodyRich": "<code>pveproxy</code> använder samma urvalsregel. Med Proxmox-alternativet använder Monitor certifikatet som Proxmox webbgränssnitt presenterar på 8006, utan kopiering eller separat förnyelseflöde."
+    }
+  },
+  "letsencrypt": {
+    "heading": "Få ett Let's Encrypt-certifikat via Proxmox ACME",
+    "intro": "Proxmox VE innehåller en egen ACME-klient. <em>”Order Certificate Now”</em> sparar resultatet i <code>/etc/pve/local/pveproxy-ssl.pem</code>, som Monitor läser. Följande fem steg sammanfattar <extlink1>Proxmox officiella guide</extlink1> i kommandona som behövs.",
+    "prereqs": {
+      "title": "Förutsättningar",
+      "items": [
+        "Noden har ett riktigt DNS-namn (inte bara en IP) som pekar på det.",
+        "<strong>Antingen</strong> port 80 nåbar från Internet (HTTP-01-validering, enklast), <strong>eller</strong> en DNS-leverantör med API-uppgifter (DNS-01, fungerar bakom NAT och stöder wildcard-certifikat).",
+        "En e-postadress för ACME-kontot."
+      ]
+    },
+    "step1": {
+      "heading": "Steg 1 - Registrera ACME-kontot",
+      "introRich": "Ersätt e-post med din. Kontonamnet <code>default</code> är bara en etikett - du kan använda någon sträng.",
+      "code": "pvenode acme account register default you@example.com",
+      "afterRich": "Proxmox uppmanar dig att acceptera Let's Encrypt användarvillkor. Därefter kvarstår kontot under <code>/etc/pve/priv/acme/</code> och fliken ACME i GUI kommer att visa det."
+    },
+    "step2": {
+      "heading": "Steg 2 — Välj valideringstyp",
+      "http01Rich": "<strong>HTTP-01</strong> är den enklaste: den är inbyggd, ingen extra plugin. Let's Encrypt ansluter till <code>http://&lt;your-host&gt;/.well-known/acme-challenge/...</code> på port 80, så port 80 måste vara öppen från det offentliga internet till din nod - vanligtvis en port framåt på din router.",
+      "dns01Rich": "<strong>DNS-01</strong> fungerar utan att exponera port 80 (bra för homelabs bakom CG-NAT) och är det enda alternativet för wildcard certifikat. Du lägger till en DNS plugin en gång med din leverantörs API-token. Cloudflare exempel:",
+      "code": "pvenode acme plugin add dns cf \\\n  --api cloudflare \\\n  --data CF_Token=YOUR_CLOUDFLARE_API_TOKEN",
+      "outroRich": "För andra leverantörer (Gandi, OVH, AWS Route 53 osv.) se <code>pvenode acme plugin add dns --help</code>. Proxmox innehåller <extlink2>alla DNS-insticksmoduler från acme.sh</extlink2>."
+    },
+    "step3": {
+      "heading": "Steg 3 - Bind domänen till din nod",
+      "http01Rich": "För HTTP-01 (använder den inbyggda <code>standalone</code> plugin):",
+      "code1": "pvenode config set --acme domains=host.example.com,account=default",
+      "dns01": "För DNS-01 med Cloudflare plugin från Step 2:",
+      "code2": "pvenode config set --acmedomain0 domain=host.example.com,plugin=cf\npvenode config set --acme account=default",
+      "wildcardRich": "Wildcard? Lägg till <code>domain=*.example.com</code> på en separat <code>--acmedomainN</code>-post. Wildcards kräver DNS-01."
+    },
+    "step4": {
+      "heading": "Steg 4 - Beställ certifikatet",
+      "code": "pvenode acme cert order",
+      "afterRich": "Första körningen tar vanligtvis 30-60 sekunder medan utmaningen sprider sig. På framgång Proxmox skriver <code>/etc/pve/local/pveproxy-ssl.pem</code> + <code>.key</code>, startar <code>pveproxy</code>, och en förnyelsekrona schemaläggs automatiskt (Let's Encrypt certs är giltiga 90 dagar; Proxmox förnyar på 60)."
+    },
+    "step5": {
+      "heading": "Steg 5 - Verifiera emittenten",
+      "code": "openssl x509 -in /etc/pve/local/pveproxy-ssl.pem -noout -issuer",
+      "afterRich": "Bör skriva ut en emittent som börjar med <code>O = Let's Encrypt</code>. Om det i stället läser <code>CN = Proxmox Virtual Environment</code> misslyckades ordern och filen är fortfarande den självsignerade PVE-certen - kör <code>pvenode acme cert order --debug 1</code> för att se varför."
+    },
+    "gui": {
+      "title": "Föredrar GUI? Samma fem steg",
+      "bodyRich": "<em>Datacenter → ACME</em> registrerar kontot; <em>Datacenter → ACME → Plugins</em> lägger till DNS-insticksmodulen; <em>Node → Certificates → ACME</em> kopplar domänen; <em>Order Certificates Now</em> kör steg 4. Kommandona ovan passar för skript och system utan grafiskt gränssnitt."
+    }
+  },
+  "switchToHttps": {
+    "heading": "Byt Monitor till HTTPS",
+    "bodyRich": "När <code>/etc/pve/local/pveproxy-ssl.pem</code> signerats av Let's Encrypt öppnar du <strong>Inställningar → Säkerhet → HTTPS / SSL</strong>, kontrollerar att utfärdaren är <em>Let's Encrypt</em> och inte Proxmox lokala CA och klickar på <strong>Använd Proxmox-certifikat</strong>. Monitor startar om och nästa sidladdning använder HTTPS på 8008 med en offentligt betrodd certifikatkedja. Senare ACME-förnyelser valideras och väljs vid nästa nya TLS-anslutning, utan återkommande avfrågning eller omstart vid förnyelse. <strong>Uppdatera certifikat</strong> finns kvar under Säkerhet för diagnos och återställning."
+  },
+  "custom": {
+    "heading": "Anpassat certifikat - när du ska använda det",
+    "intro": "Klicka på <strong>Använd anpassat certifikat</strong> och ange två absoluta sökvägar:",
+    "items": [
+      "<strong>Certifikat</strong>: hela kedjan i PEM-format (<code>.pem</code> eller <code>.crt</code>).",
+      "<strong>Privat nyckel</strong>: matchande nyckel i PEM-format (<code>.key</code>)."
+    ],
+    "outro": "Båda filerna läses av Monitor-processen vid start. De måste kunna läsas av användaren som systemd-enheten körs som (root som standard). Vanliga sökvägar när ACME hanteras utanför Proxmox:",
+    "code": "# certbot\n/etc/letsencrypt/live/<your-host>/fullchain.pem\n/etc/letsencrypt/live/<your-host>/privkey.pem\n\n# acme.sh\n~/.acme.sh/<your-host>_ecc/fullchain.cer\n~/.acme.sh/<your-host>_ecc/<your-host>.key",
+    "symlinkCallout": {
+      "title": "Symlink mål vs. filer",
+      "bodyRich": "<code>certbot</code> lagrar de faktiska filerna i <code>/etc/letsencrypt/archive/</code> och <code>live/</code>-vägen är en symlänk. Peka Monitorn på <code>live/</code> symlink, inte <code>archive/</code>-filen - på så sätt omskriver varje förnyelsecykel helt enkelt symlinkmålet och Monitorn plockar upp den nya certen vid nästa servicestart."
+    }
+  },
+  "afterHttps": {
+    "heading": "Efter att ha aktiverat HTTPS",
+    "bodyRich": "Att spara förändringen skriver <code>/etc/proxmenux/ssl_config.json</code> och utlöser en omstart av <code>proxmenux-monitor</code> systemd-enheten. Fliken webbläsare kommer att förlora sin nuvarande anslutning - ladda den på <code>https://&lt;host&gt;:8008/</code>. Den första belastningen med en Let's Encrypt-cert bör inte visa någon varning; med Proxmox självsignerad cert kommer webbläsaren att kräva ett undantag, samma som för port 8006.",
+    "reverse": {
+      "heading": "Omvända proxyservrar och webhooks",
+      "bodyRich": "När Monitorn byter till HTTPS, Proxmox VE webhook URL-adresser registrerade för meddelanden också vända från <code>http://</code> till <code>https://</code> automatiskt. Befintliga webhook-poster skrivs om nästa gång en anmälningsregel sparas eller återupptäcks, så ingen manuell redigering av Proxmox-meddelandekonfig behövs."
+    }
+  },
+  "trustCa": {
+    "heading": "Lita på Proxmox självsignerade CA",
+    "intro1Rich": "För att behålla Proxmox standardcertifikat utan ACME importerar du klustrets rot-CA i systemets eller webbläsarens betrodda certifikatlager. Monitor upptäcker <code>/etc/pve/local/pve-ssl.pem</code> som reservcertifikat. Klienten litar då på utfärdaren; URL:en måste fortfarande matcha ett namn i certifikatet.",
+    "intro2Rich": "CA-filen bor på <code>/etc/pve/pve-root-ca.pem</code> på varje nod. I ett kluster är vägen på det delade <code>pmxcfs</code>-filsystemet så att alla noder delar samma rot, och en enda import täcker hela datacentret. Kopiera den till din maskin:",
+    "code": "scp root@<your-host>:/etc/pve/pve-root-ca.pem ./pve-root-ca.pem",
+    "thenImport": "Importera sedan den på klientsidan:",
+    "items": [
+      "<strong>Linux (hela systemet):</strong> kör <code>sudo cp pve-root-ca.pem /usr/local/share/ca-certificates/pve-root-ca.crt</code> följt av <code>sudo update-ca-certificates</code>. Webbläsare med systemets certifikatlager (Chromium, Edge) känner igen CA:n efter omstart; Firefox har ett eget lager och behöver den manuella importen nedan.",
+      "<strong>macOS:</strong> dubbelklicka på <code>.pem</code>-filen i Nyckelhanterare, lägg till den i nyckelringen <em>System</em> och välj <em>Lita på → Lita alltid på</em>.",
+      "<strong>Windows:</strong> högerklicka på filen → <em>Installera certifikat</em> → placera det i <em>Betrodda rotcertifikatutfärdare</em>.",
+      "<strong>Firefox (alla operativsystem):</strong> <em>Inställningar → Sekretess och säkerhet → Certifikat → Visa certifikat → Certifikatutfärdare → Importera</em>; markera <em>Lita på denna CA för att identifiera webbplatser</em>."
+    ],
+    "standalone": {
+      "title": "Standalone noder utanför ett kluster",
+      "bodyRich": "Varje icke-klustrerad Proxmox värd har sin egen <code>pve-root-ca.pem</code>. Om du hanterar flera fristående värdar, upprepa kopian/importen för varje eller gå med dem till ett kluster så att de delar en enda rot."
+    }
+  },
+  "disable": {
+    "heading": "Inaktivera HTTPS",
+    "bodyRich": "Klicka på <strong>Inaktivera HTTPS</strong> i samma panel. Monitor startar om med okrypterad HTTP, användbart om ett oläsbart eget certifikat hindrar tjänsten från att starta. Ingen separat avinstallation krävs och certifikatfilerna ändras inte.",
+    "stateCallout": {
+      "title": "Var tillståndet lagras",
+      "bodyRich": "<code>/etc/proxmenux/ssl_config.json</code> lagrar de aktiva certvägarna och källan (<code>none</code>, <code>proxmox</code>, <code>custom</code>). Radera filen är likvärdig med att inaktivera HTTPS - nästa start faller Monitor tillbaka till HTTP."
+    }
+  }
+}